CVE-2019-16775— NPM npm CLI 后置链接漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2019-16775の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Unauthorized File Access in npm CLI before before version 6.13.3
ソース: NVD (National Vulnerability Database)
脆弱性説明
Versions of the npm CLI prior to 6.13.3 are vulnerable to an Arbitrary File Write. It is possible for packages to create symlinks to files outside of thenode_modules folder through the bin field upon installation. A properly constructed entry in the package.json bin field would allow a package publisher to create a symlink pointing to arbitrary files on a user's system when the package is installed. This behavior is still possible through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
CWE-61
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
NPM npm CLI 后置链接漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
NPM npm CLI是美国NPM公司的一款软件包管理器。 npm CLI 6.13.3之前版本中存在后置链接漏洞。该漏洞源于网络系统或产品未正确过滤表示非预期资源的链接或者快捷方式的文件名。攻击者可利用该漏洞访问非法的文件路径。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2019-16775の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2019-16775のインテリジェンス情報
请登录查看更多情报信息。
CVE-2019-16775 厂商安全公告 (8)
- https://github.com/npm/cli/security/advisories/GHSA-m6cx-g6qm-p2cxx_refsource_CONFIRM
- https://www.oracle.com/security-alerts/cpuoct2021.htmlx_refsource_MISC
- https://www.oracle.com/security-alerts/cpujan2020.htmlx_refsource_MISC
CVE-2019-16775 邮件列表归档 (1)
- http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00027.htmlvendor-advisoryx_refsource_SUSE
CVE-2019-16775 安全博客文章 (1)
Same Patch Batch · npm · 2019-12-13 · 3 CVEs total
| CVE-2019-16776 | 7.7 HIGH | Unauthorized File Access in npm CLI before before version 6.13.3 |
| CVE-2019-16777 | 7.7 HIGH | Arbitrary File Overwrite in npm CLI |
IV. 関連脆弱性
同じ製品: cli
- CVE-2026-56236
Capgo CLI - Arbitrary File Overwrite via Symlink-Following i - CVE-2026-48501
GitHub CLI tokens leak via `gh attestation` commands - CVE-2026-45152
uniget: Command Injection in tool.Check Leading to Arbitrary - CVE-2026-45803
gh: GitHub Actions log output in `gh run view` allows termin - CVE-2026-29066
Arbitrary File Read via Disabled Vite Filesystem Restriction
同じ弱点: CWE-61
- CVE-2026-53489
containerd: Arbitrary host CRI log file read via symlink fol - CVE-2026-41579
runc: Malicious image with /dev symlink can trigger limited - CVE-2026-55686
Podman: WORKDIR symlink traversal vulnerability - CVE-2026-13218
Kubevirt: kubevirt: symlink following in writetocachedfile a - CVE-2026-13201
Kubevirt: virt-handler-rhel9: kubevirt: safepath symlink fol
V. CVE-2019-16775へのコメント
まだコメントはありません